Un sistema de seguridad basado en IA descubrió una vulnerabilidad del XRP Ledger que podría haber permitido a un atacante crear aproximadamente 18 billones de XRP mediante una sola transacción de pago, unas 180 veces los 100.000 millones de unidades del suministro original de la red. El fallo amenazaba la integridad del modelo de suministro fijo de XRP y su capitalización de mercado declarada de $94.000 millones, pero RippleX no encontró indicios de explotación y confirmó que no se creó XRP sin autorización.
Por qué importa
La debilidad combinaba dos fallos en el código de pagos y de protección del suministro de XRPL. Un conjunto de ofertas de trading diseñado deliberadamente podía provocar un desbordamiento de enteros, lo que permitía al vendedor recibir el pago completo en XRP mientras al comprador solo se le cobraba una fracción. El mismo cálculo defectuoso podía impedir que la protección del suministro detectara el XRP recién creado.
El código del motor de pagos databa de 2015, mientras que la protección afectada se introdujo en 2017. El problema superó más de una docena de auditorías y concursos de seguridad, incluido uno con un fondo de premios de $550.000, antes de que el sistema de IA de Veria Labs lo identificara y reprodujera en una red local. Veria recibió una recompensa de $250.000.
Impacto en el mercado
Los desarrolladores corrigieron la vulnerabilidad tres días después de que fuera comunicada, el 22 de septiembre, y la divulgaron públicamente el 9 de octubre. RippleX, la XRP Ledger Foundation y los validadores desplegaron la versión 3.4.1 al margen del proceso normal de enmiendas de XRPL, que exige el respaldo de más del 80% de los validadores durante dos semanas consecutivas.
El procedimiento de emergencia redujo el riesgo de que XRP falsificado entrara en circulación, pero introdujo un riesgo temporal de consenso entre los servidores actualizados y los obsoletos. Más del 80% de los validadores de confianza se habían actualizado el 25 de septiembre. Ahora RippleX planea ampliar las pruebas asistidas por IA, reforzar las revisiones adversariales y aplicar una verificación más formal a los componentes heredados de XRPL.
Preguntas frecuentes
-
¿Cuánto XRP podría haber creado la vulnerabilidad?
El fallo podría haber permitido crear aproximadamente 18 billones de XRP mediante una sola transacción de pago, unas 180 veces el suministro original de 100.000 millones.
-
¿Se creó o se perdió XRP sin autorización?
No. RippleX confirmó que no se creó XRP sin autorización ni se perdieron fondos, y los investigadores no encontraron indicios de explotación en redes públicas.
-
¿Cómo funcionaba la vulnerabilidad de XRPL?
Un desbordamiento de enteros podía calcular mal el pago del comprador, mientras que un segundo fallo podía impedir que la protección del suministro detectara el XRP recién creado.
-
¿Por qué XRPL eludió su proceso normal de enmiendas?
Los desarrolladores concluyeron que esperar al proceso habitual de aprobación de los validadores dejaría la vulnerabilidad expuesta y permitiría a los atacantes explotarla antes de activar la corrección.
-
¿Qué cambios está preparando RippleX tras el incidente de seguridad?
RippleX planea ampliar la detección de vulnerabilidades asistida por IA, aumentar las pruebas adversariales, reforzar la verificación formal y volver a probar los hallazgos resueltos frente a candidatos de lanzamiento.
CoinDesk
CZ Binance
TheBlock
Crypto News